‘IT-beveiligingsrisico’s door eigen medewerkers onderschat’

43 Procent van de werknemers is ervan overtuigd dat zijn organisatie niet vatbaar is voor deze zogenaamde ‘insider threats’. Nog eens drie op de tien zijn niet helemaal zeker van hun zaak. Dat terwijl een derde van de werknemers ooit zelf betrokken was bij een IT-beveiligingsincident. Dat blijkt uit onderzoek van cybersecurityspecialist Forcepoint en onderzoeksbureau Atomik Research onder vierduizend kantoormedewerkers in verschillende Europese landen.

Het onderzoek behandelt verschillende soorten insider threats. Daarbij kan het zowel om de eigen medewerkers gaan, als om freelancers, oud-medewerkers en andere mensen met kennis van, of toegang tot de IT-infrastructuur van een organisatie.

Nederland bewuster van gevaar

In 2016 was 67 procent van de Nederlandse bedrijven nog het slachtoffer van een beveiligingsincident dat het gevolg was van een insider threat, zo blijkt uit een eerder onderzoek van Forcepoint en onderzoeksbureau Team Vier. Overigens lijken Nederlandse organisaties zich beter bewust van de gevaren van insider threats; hier denkt slechts 27 procent dat zijn of haar organisatie niet vatbaar is voor bedreigingen van binnenuit.

Gevolg van onwetendheid

In sommige gevallen gaat het bij insider threats om risico’s die voortkomen uit onwetendheid. Zo toont het onderzoek van Forcepoint en Atomik Research aan dat 27 procent niet denkt aan de veiligheid bij het uploaden van data naar de cloud. 11 Procent geeft daarnaast aan ooit per ongeluk data aan derden te hebben doorgestuurd, en 17 procent kreeg te maken met een verloren of gestolen device. Iets meer dan een kwart (26 procent) denkt bovendien dat het delen van logingegevens geen veiligheidsrisico oplevert, of weet dat niet zeker.

Andere belangrijke uitkomsten:

• 27 procent van de ondervraagde werknemers geeft aan dat zijn of haar werkgever geen beveiligingsbeleid heeft of uitvoert.
• 39 procent geeft aan nog nooit een training te hebben gevolgd op het gebied van databeveiliging.
• 23 procent van de ondervraagden is niet op de hoogte van de gevolgen die een beveiligingslek kan opleveren
• 22 procent denkt dat een lek geen financiële gevolgen heeft voor de organisatie, of weet dat niet zeker.

Ook kwade bedoeling een serieuze bedreiging

Naast onwetendheid vormen ook insiders met kwade bedoelingen een serieuze bedreiging. Zo geeft 14 procent van de ondervraagde werknemers aan dat hij of zij zou overwegen om inloggegevens te verkopen aan derden. Van deze groep zouden vier op de tien dat zelfs doen voor minder dan 250 euro. Iets minder dan een derde geeft daarnaast aan ooit bewust informatie te hebben doorgestuurd aan onbevoegden, en 15 procent nam ooit bedrijfskritische informatie mee naar een nieuwe werkgever.

“Insiders hebben vaak toegang tot gevoelige gegevens en een beveiligingslek als gevolg van een insider threat kan verwoestende gevolgen hebben voor een organisatie, zowel op financieel gebied als voor de reputatie”, zegt Tim Hoefsloot, Regional Director bij Forcepoint.

Nieuwe Europese regelgeving

Over een jaar gaat de General Data Protection Regulation in - Europese regelgeving die zeer strenge eisen aan de bescherming van data stelt en kan leiden tot torenhoge boetes als het misgaat. Bedrijven doen er daarom volgens Hoefsloot verstandig aan risico’s van binnenuit de organisatie serieus te nemen en voorzorgsmaatregelen te nemen om de risico’s en gevolgen van insider threats zoveel mogelijk te verkleinen.